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The credit transfer method allows a credit amount 
to be transferred between 2 different memories 
(20,30) incorporated in the pre-payment card (10) 
upon insertion of the card in a card reader (40) 
coupled to a central accounting point (60). The 
credit amount is transferred from a memory (20) 
acting as an electronic purse, which is previously 
loaded with a given credit, after verification of the 
inserted card via an authentication device (50) 
associated with the card reader, the credit 
amount received by a secondary memory (30) 
with a different purse operator. 
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@ Verfahren und Anlage zum Transferieren von Geldbetragen zwischen uberschreibbaren Speichem einer 
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) Die Erftndung betrifft ein Verfahren sowie eina Anlage 
zum Transferiaren von Geldbetragen zwischen wenigstens 
zwei uberschreibbaren, verschiedenen Borsenbatreibem zu- 
geordneten Spetchem (20, 30) einer Chipkarte (10) mrt Hilfe 
eines einen Kartenleser enthaltenen Endgerats (40), das mrt 
einer zentralen Einrichtung-(60), insbesondere einer Abrech- 
nungszentrate, verbunden werden kann. Der erste, einem 
ersten Borsenbetreiber zugeordnete Speicher (20) ist mit 
einem vorbestimmten Geldbetrag geladen. 
Die Erfindung ermoglicht einem Karteninhaber auf das 
Guthaben eines Speichers zuzugrerfen, wenn der von ihm 
benotigte Speicher kein Guthaben mahr enthstt ohne den 
leeren Speicher erneut extern laden zu mussen. Die Erfin- 
dung erreicht dies dadurch, daft nach dem Einfuhren der 
Chipkarte (10) in den Kartenleser des Endgerats (40) ein an 
dem Endgerat eingebbarer Geldbetrag aus dem ersten 
Speicher (20) in den zweiten. einem zw»ten Borsenbetreiber 
zugeordneten Speicher (30) umgeleden wird. AnschlleSend 
erzeugt ein dem Endgerat (40) zugeordnetes Sicherhertsmo- 
dul (50) etnen kryptograftsch ge8k:herten Suchungsdaten- 
satz, der zur werteren Verrechnung an die zentrate Einrich- 
tung (60) Qbertregen vWrd. 
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Beschreibung borsen verschiedener Borsenbetreiber, die ein an sich 

geschlossenes Borsensystem bilden, koppeln zu konnea 

Die Erfindraig betrifft ein Verfahren zum Transferie- Dazu steUt die Erfindung ein Verfahren zum Transfe- 
ren von GeWbetragen zwischen wenigstens zwei uber- rieren von Geldbetragen zwischen wenigstens zwei 
schreibbaren Speichern einer Chipkarte mit Hilfe eines 5 uberschreibbaren Speichern einer Chipkarte mit Hilfe 
EndgerateSp das mit einer zentraJen Einrichtung» insbe- eines einen Kartenleser enthaltenen Endgerats bereit, 
sondere einer Abrechnungszentrale verbunden werden das mit einer zentralen Einrichtung verbunden werden 
kaim gemaB Anspruch 1 sowie eine Aniage ziu* Durch- kann, wobei der erste, einem ersten Borsenbetreiber 
fiihrungdesVerfahrensnachden Anspruchen? undS. zugeordnete Speicher anfanglich mit einem vorbe- 

Seit geraumer Zeit sind Chipkarten, die eine elektro- 10 slimmten Geldbetrag geladen ist Zunachst wird die 
nische Geklborse eines Borsen- oder Diensteanbieters Chipkarte in den Kartenleser des Endgerats eingefuhrt 
enthalten, erhaltlich, mit denen anstelle von Bargeld an AnschlieBend wird der vorbestimmte Geldbetrag aus 
dafur vorgesehenen AkzeptanzsteDen bezahlt werden dem ersten Speicher in den zweiten, einem zweiten Bor- 
kann. Grundsatzlich sind zwei Methoden bekannt, die senbetreiber zugeordneten Speicher umgeladen. Nach 
das Aufladai der elektronischen Geldborse auf der 15 der Umladeprozedur wird ein Buchungs-Datensatzes 
Chipkarte ennoglichen. Nach der enten Methode wer- erzeugt, der zur weiteren Verrechnung an die zentrale 
den die zu ladenden Geldbetrage beispielsweise in bar, Einrichtung ubertragen wird. Bevor jedoch Geldbetra- 
mit einer ec-JCarte oder einer Kreditkarte vorab bezahh ge zwischen den Speichern umgeladen werden, f uhrt die 
und ansdilieBend als Geldwerteeinheiten in die elektro- Chipkarte mit einem dem Endgerat zugeordneten Si- 
nische Geldborse auf der Chipkarte geladen. Nach der 20 cherheitsmodul oder einem Hintergnmdsystera eine ge- 
anderen Metbode wird die Chipkarte in einen Geldau- genseitige, an sich bekannte Authentifizierung durch, 
tomaten eingefuhrt und weist sich zunachst gegenuber Die Chipkarte kann derart programmiert sein, daB sie 
einem Sicherheitsmodul oder einem Hintergrundsystem unter Ansprechen auf ein kryptographisch gesichertes 
aus. Sogldch wird die auf ihr gespeicherte Bankverbin- Auslosesignal vom Sicherheitsmodul den am Endgerat 
dung des Kunden an das Sicherheitsmodul ubertragen. 25 eingegebenen Geldbetrag automatisch aus dem ersten 
Nach der Emgabe des gewunschten Geldbetrages an Speicher in den zweiten Speicher umladt Altemativ 
dem Geldautomaten und dem Laden der elektronischen fungiert die Chipkarte lediglich als Slave-Einrichtung, 
Borse mit dksem Geldbetrag wird ein Buchungsdaten- die unter Ansprechen auf kryptographisch gesicherte 
satz erzeugt, der zum einen das Konto des Karteninha- Steuerbefehle vom Sicherheitsmodul den am Endgerat 
bers mit diesem Geldbetrag belastet und zum anderen 30 eingegebenen Geldbetrag aus dem ersten Speicher aus- 
diesen Betrag auf dem Konto des Borsenbetreibers gut- liest und in den zweiten Speicher einschreibt. Die zen- 
schreibL Mddite jedoch ein Kartenherausgeber unter- trale Einrichtung, bei der es sich in der Regel um eine 
schiedlidien Borsen-Anbietern die Moglichkeit einrau- Abbuchimgszentrale handelt, sorgt unter Ansprechen 
men, die elektronische Geldborse auf der Chipkarte ge- auf den Buchungsdatensatz dafur, daB der umgeladene 
meinsam zu nutzen» fuhrt dies in der Praxis haufig zu 35 Geldbetrag auf dem Konto des zweiten Borsenbetrei- 
Schwierigkchen. Denn das Betreiben und die Verwal- bers gutgeschrieben wird und das Konto des ersten Bor- 
tung eines sogenannten offenen Bdrsensystems> bei dem senbetreibers mit diesem Betrag belastet wird Der Bu- 
mehrere Borsen-Anbieter eine einzige elektronische chungsdatensatz kann ebenfalls kryptographisch gesi- 
Geldborse gemeinsam benutzen, ist ungleich aufwendi- chert werden. Der Borsenbetreiber des ersten Spei- 
ger imd damit kostentrachtiger als dies bei geschlosse- 40 chers, das ist der sogenannte Hauptborsen-Betreiber, ist 
nen Borsensystemen, bei denen jedem Borsen-Anbieter in der Lage, den kryptographisch gesicherten Bu- 
eine eigwie elektronische Geldborse auf der Chipkarte chungsdatensau zu verifizieren. Unter einer kryptogra- 
zugeordnet ist, der Fall ist Ein weiterer Nachteil des phischen Datensichening versteht man allgemein die 
offenen Boisensystems ist darinzusehen. daB ein mogli- Verschlusselung der zu ubertragenden Nutzdaten 
cher MiBbrauch der Karte in der Regel kaum zu erken- 45 selbst Eine kryptographische Datensicherung liegt aber 
nen ist I^e Schwierigkeiten eines offenen Borsensy- auchdannvor.wenn die Nutzdaten imKlartext ubertra- 
stems konnen dadurch vermieden werden, daB der Kar- gen werden. aber zusatzlich ein aus den Nutzdaten ge- 
tenherausgcbcr jedem Borsen-Anbieter eine eigene wonnener Nachrichten-Authentifikationscode (MAC 
elektronisdie Geldborse auf der Chipkarte zuweist, d h. von message authentification code) angehangt wird 
ein geschkwsenes Borsensystem schafft Dies fiihrt aller- 50 Die Erfindung erlaubt einem Kunden auf einf ache Art 
dings fur den Karteninhaber zu dem Nachteil, daB er auf und Weise auf die elektronische Geldborse eines ande- 
jeder elektronischen Geldborse Geld binden muB. Will ren Borsenbetreibers zugreifen zu kSnnen, falls die von 
em Kunde znm Beispiel eine Geldborse nutzea auf der ihm benodgte elektronische Geldborse eines anderen 
kerne Gekfercrteeinheiten mehr gespeidiert sind, muB Borsenbetreibers, die auf derselben Chipkarte integriert 
er nach einem der oben genannten Methoden emeut 55 ist, gerade leer ist 

Geld investieren, auch wenn auf den ubrigen elektroni- Mit der Erfindung konnen die Vorteile eines geschlos- 
schen Geldborsen noch ausreichende Guthaben vor- senen Borsensystems, insbesondere die UnabhSngigkeit 
handen sind der einzehien Borsenbetreiber und der ihnen auf einer 

Der Erfiztdung liegt daher die Aufgabe zugnmde, ein Chipkarte zugewiesenen elektronischen Geldbdrsen, 
Verfahren ond eine Aniage zur Verfugung zu stellen, eo bewahrtwerdea 

mit denen <fie Nachteile der bekannten offenen und ge- Die Erfindung wird nachstehend anhand eines Aus- 
schlossencnBorsensysteme vermieden werden. fuhrungsbeispiels in Verbindung mit der beiliegenden 

Das tecfamscfae Problem lost die Erfindung mit den Zeichntmg n§her eriautert 
Verfahrensschritten des Anspruchs 1 imd den Merkma- Die I^gur zeigt das prinzipielle Blockschaltbild einer 
len der Anspruche 7 und 8. VorteiDiafte WeiterbQdun- es Aniage, mit der das erfindungsgenaaBe Verfahren zum 
gensindinctenUnteranspruchengenannt Transferieren von Geldbetragen zwischen wenigstens 

Die Erfindung beruht auf dem Gedanken, mehrere, zwei Qberschreibbaren Speichern einer Chipkarte 
auf einer Ch^karte implementierte elektronische Geld- durchgefiihrt werden kana Eine im Verhaltnis zu den 
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ubrigen Komponenten stark vergrdSert dargestellte Da auf dem Speicher 30 kein Guthaben mehr gespei- 

Chipkarte 10 enthalt einen Speicher 20, der allgemein chert ist, veranlaBt der Kunde das Umladen des ge- 

auch ah elektronische Geldborse bezeichnet wird. Der wunschten Betrages von der Hauptborse 20 des Kauf- 

Speicher 20 sei die Hauptbone, die einem ersten Bor- hauses auf die Borse 30 des Telekommunikations-Netz- 

senbetreiber zugeordnet ist Bei dem ersten Borsenbe- 5 betreibers. Um die Sicherheit beim Geldtransf er zu stei- 

treiber handele es sich beispielsweise um ein Kaufhaus. gem, wird vor der eigentlichen Geld-Umladeprozedur 

Auf der Chipkarte 10 ist ein zweiter Speicher 30 imple- eine gegenseitige Authentifikadon zwischen der einge- 

mentiert, der als zweite elektronische Geldborse fun- fuhrten Chipkarte 10 und dem dem Kartentelefon 40 

giert and einem anderen Borsenbetreiber zugeordnet zugeordneten Sicherheitsmodul 50 durchgefuhrt Das 

ist 10 Sicherheitsmodul 50 uberzeugt sich davon, daB die ein- 

Fur die weitere Beschreibung sei angenommen, daB gefuhrte Chipkarte 10 echt ist Ebenfalls uberzeugt sich 

es sich bei dem zweiten Borsenbetreiber um emen Tele- die Chipkarte 10 davon, daB das Endgerat 40 bzw. das 

kommunikations-Netzbetreiber handelt, der unter an- Sicherheitsmodul 50 echt ist Nach emer positiven Au- 

deremoffentliche Kartentelefone bereitstellt Ein derar- thentifizierung gibt der Karteninhaber den gewunsch- 

tiges Kartentelefon ist in der Rgur mit dem Bezugszei- 15 ten Betrag von 20,- DM, der von dem Speicher 20 in den 

chen 40 versehen. Das Kartentelefon 40 verfugt selbst- Speicher 30 umgeladen werden soil, an dem Kartentele- 

verstandlich fiber einen Chlpkartenieser, der nicht dar- phon 40 ein. Die Chipkarte 10 wird im Slave-Modus 

gesteilt ist Ein Sicherheitsmodul 50, dessen Funktion betreiben, d. h. die Umladeprozedur wird von auBen, 

nachfolgend noch ausfuhrlicher beschrieben wird, ist beispielsweise vom Sicherheitsmodul 50 gesteuert Zu- 

beispiebweise in dem Kartentelefon 40 integriert; es 20 nachst wird der Karteninhaber von dem Kartentelefon 

kann abcr auch extern diesem zugeordnet seia Die An- 40 aufgefordert, seine persSnliche Geheinmummer ein- 

lage umfaBt femer an sich bekannte ec-Geldautomaten, zugeben. Nach einer Prufung der Geheinmummer auf 

an denen der Chipkarteninhaber seine Hauptborse 20 Richtigkeit liest das Kanenteiefon 40 das Verfallsdatum 

laden kann. Der Einfachheit halber ist nur der mit 45 und die Kartennummer aus der Chipkarte 10 aus und 

bezeichnete ec-Geldautomat dargestelit Das Kaufhaus 25 uberpruft, ob das Verfallsdatum abgelaufen ist und ob 

besitzt wn Summenkonto 70, auch Poolkonto genannt, ggf. die Kartennummer in einer Sperrdatei steht Die 

fiber das die gesamten Geldtransaktionen des Kartenin- Prufung hat ergeben, daB das Verfallsdatum weder ab- 

haber mit dem Kaufhaus und dem Telekommunika- gelaufen ist noch daB die Kartennummer in einer Sperr- 

tions-Netzbetreiber abgewickelt werdea Der Kartenin- datei steht Der Karteninhaber leitet an dem Kartente- 

haber verfugt fiber ein Konto 90, wohingegen der Tele- 30 lefon 40 die Umladeprozedur mittels einer Tastenfolge 

kommunikations-Netzbetreiber ein eigenes Konto 80 ein, woraufhin das dem Kartentelefon 40 zugeordnete 

fuhrt jedes Kanentelephon 40 und jeder ec-Geldauto- Sicherheitsmodul 50 zunacfast einen kryptographisch 

mat 45 sind mit einer Abrechnungszentrale 60 verbun- abgesicherten '^erringerungsbef ehl" an die Chipkarte 

den.DieAbrechnungszentrale60istderartausgebildet, 10 ubermittelt Unter Ansprechen auf den Verringe- 

daB sie alle von dem Karteninhaber mit Bezug auf seine 35 rungsbefehl reduziert die Chipkarte 10 das Guthaben in 

Chipkarte 10 gewfinschten Geldbewegungen in dem der Hauptborse 20, um den im Verringerungsbefehl ge- 

Summenkonto 70, dem Kundenkonto 90 und dem Kon- nannten Geidbetrag von 20,- DM und ubertragt eine 

to 80 des Telekommunikanons-Netzetreibers abwickeln kryptographisch gesicherte Antwort an das Sicherheits- 

kann. ^ modul 50 zuruck. Das Sicherheitsmodul 50 ubertragt 

Die Funktionsweise der Anlage und das erfindungs- 40 einen kryptographisch gesicherten "Umlade" -Bef ehl an 

gemaBe Verfahren werden nunmehr anhand des f oigen- die Chipkarte 10, die unter Ansprechen auf den Umlade- 

denSzenarios erlautertZunachst sei angenommen, dafi befehl den aus dem Speicher 20 ausgelesenen Betrag 

der Karteninhaber seine Hauptborse 20 mit einem von 20,- DM in den Speicher 30 einschreibt und wieder- 

Geldbetrag von 50,- DM bereits geladen hat Dies kann um eine kryptografisch geacherte Antwort an das Si- 

er an dem Geldautomaten 45 oder einem beliebigen 45 cherheitsmodul 50 zuruckschickt Nachdem die Umla- 

elektronischen Cash-Terminal des Kaufhauses vomeh- deprozedur abgeschlossen ist, erzeugt das Sicherheits- 

men. Der Geldautomat 45 ubermittelt nach der Trans- modul 50 einen kryptographisch gesicherten Buchungs- 

aktion des gewfinschten Geldbetrages von 50,- DM ei- datensatz, der dem umgeladenen Guthaben entspricht 

nen Budiungsdatensatz an die Abrechnungszentrale 60. Der kryptographisch gesicherte Buchungsdatensatz 

Die AbredmuDgszentrale 60 veranlaBt unter Anspre- 50 wird imnachstenSchrittzu der Abrechnungszentrale 60 

chen auf den Buchungsdatensatz, daB das Konto 90 des ubermittelt Die Abrechnungszentrale 60 veranlaBt 

Karteninhabers mit dem Betrag von 50^- DM belastet nach Empfang des Buchungsdatensatzes, daB das Sura- 

wird. Gidchzeitig sorgt die Abbuchungszentrale 60 da- menkonto 70 des Kaufhauses mit dem umgeladenen Be- 

fur, daB der Geidbetrag audi auf dem Summenkonto 70 trag von 20,- DM belastet wird. Mit anderen Worten 

des Kaufhauses gutgeschrieben wird Der Karteninha- 55 verfugt der Speicher 20 nach der Umladeprozedur nur 

ber wunsdit nunmehr an dem Kartentelefon 40 ein Ge- noch fiber ein Guthaben von 30,- DM. Gleichzeitig sorgt 

sprSch zu fuhren. Oberrascht stellt er fest, daB auf der die Abrechnungszentrale 60 dafur, daB der von dem 

elektronischen Geldborse 30, die dem Telekommunika- Speicher 20 auf den Speicher 30 umgeladene Geldbe- 

tions-Nctzbetreiber zugeordnet ist, kein Guthaben trag von 20,- DM auf dem Konto 80 des Teiekonmfiuni- 

mehr gespeidiert ist Ohne emeut Geld von seinem eo kations-Netzbetreibers gutgeschrieben wird Das erfm- 

Konto 90 abheben zu mflssen, kann er dank der Erfin- dungsgemaBe Verfahren sieht vor, daB der kryptogra- 

dung emen gewfinschten Geldbetra& sagen wir einmal phisch abgesicherte Buchungsdatensatz jederzeil von 

von 2Qr DM, von dem Speicher 20 in den Speicher 30 dem Kaufhaus uberpruft werden kann. 

umladen. Dazufflhrt der Karteninhaber seine Oiipkarte Anstatt die Umladeprozedur eines vorbestinomten 

10 in den Kartenleser des Kartentelefons 40 ein. Das 65 Geldbetrages von dem Hauptspeicher 20 in den Spei- 

Kartentdefon 40 kann beispielsweise die aktueDen Gut- cher 30 unter Steuerung des Sicherheitsmodul 50 durch- 

haben der Geldbdrsen 20 und 30 auf der Chipkarte 10 fuhren zu lassen, kann die Chipkarte 10 derart program- 

auslesen und dem Kunden an einem Display anzeigea miert sein, daB sie unter Ansprechen auf einen krypto- 
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graphisch gesicberten Ausldsebefehl vom Sicherheits- 
modul 50 die Umladeprozedur selbstandig ausfuhrt 

Patentanspruche 

5 

1. Verfahren zum Transferieren von Geldbetragen 
zwischen wenigstens zwei uberscbreibbaren Spei- 
chern (20^ 30) einer Chipkarte (10) mit Hilf e eines 
einen Kartedeser enthaltenen Endgerats (40), das 
mit einer zentralen Einrichtung (60) verbunden lo 
werden kann, wobei der erste, dnem ersten Bor- 
senbetreiber zugeordnete Speicher (20) mit einem 
vorbestxmmten Geldbetrag geladen ist, mit folgen- 
den Verfahrensschritten : 

a) Einfuhren der Chipkarte (10) in den Karten- 15 
leserdes Endgerats (40)^ 

b) Umladen eines vorbestimmten Geldbetra- 
ges aos dem ersten Speicher (20) in den zwei- 
ten, einem zweiten Bdrsenbetreiber zugeord- 
neten Speicher (30X 20 

c) Erzeugen eines Buchimgs-Datensatzes, der 
zur weiteren Verrechnung an die zentrale Ein- 
riditung (60) ubertragen wird 

2. Verfahren zum Transferieren von Geldbetragen 
nach Anspruch 1, gekennzeichnet durch das gegen- 25 
seitige Authentifizieren der eingefuhrten Chipkarte 
(10) mit einem dem Endgerat (40) zugeordneten 
Sicherheitsmodul (50). 

3. Verfahren zum Transferieren von Geldbetragen 
nach Anspruch 1 oder 2, dadurch gekennzeichnet, 30 
daB das Umladen des vorbestimmten Geldbetrags 
vom ersten (20) in den zweiten Speicher (30) durch 
einen kryptographisch gesicherten Befehl eingelei- 
tet und anschlieSend automatisch in der Chipkarte 
(10) durdkgefuhrt wird 35 

4. Verfahren zum Transferieren von Geldbetragen 
nach Anspruch 1 oder 2, dadurch gekennzeichnet, 
daB die Oitpkarte (10) unter Ansprechen auf kryp- 
tographisch gesicberte Befehle den vorbestimmten 
Geldbetrag aus dem ersten Speicher (20) ausliest 40 
und ansdifieBend in den zweiten Speicher (30) ein- 
schreibt 

5. Verfahren zum Transferieren von Geldbetragen 
nach einmder Anspruche 1 bis 4, dadurch gekenn- 
zeidmet, daB der in Schritt c) erzeugte Buchungs- 45 
Datensatz kryptographisch gesichert imd zur zen- 
tralen Einriditung (60) ubertragen wird und daB die 
zentrale Einrichtung (60) mit Hilfe des empfange- 
nen Bucbungs-Datensatzes veranlaBt, daB ein Sum- 
menkonto (70) des ersten BOrsenbetreibers mit 50 
dem umgelaideneD Geldbetrag belastet und der um- 
geladene Geldbetrag auf einem Konto (80) des 
zweiten Borsenbetreibers gutgesdmeben wird 

6. Verfahren zum Ti^sferieren von Geldbetragen 
nach Anqnuch 5^ dadurch gekennzeichnet, daB der 55 
kryptograjrfusch gesicberte Buchungs-Datensatz 
vom ersten Bdrsenbetreiber verifiziert werden 
kann. 

7. Anlage zur Durchfuhrung des Verfahrens nach 
einem der Anspruche 1 — 6, mit folgenden Merkma- eo 
len: 

wenigstens cine Chipkarte (10), die einen ersten, 
einem ersten Bdrsenbetreiber zugeordneten Spei- 
cher (20) tmd wenigstens einen zweiten, einem 
zweiten Bdrsenbetreiber zugeordneten Speicher 65 
(30)enthalt, 

wenigstens ein von einem der Bdrsenbetreiber be- 
triebenes Endgerat (40) mit einem Kartenleser, 
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eine zentrale Einrichtung (60), mit der das Endgerat 
(40) verbunden ist, 

ein dem ersten Bdrsenbetreiber zugeordnetes 
Summenkonto (70), ein dem zweiten Bdrsenbetrei- 
ber zugeordnetes Konto (80) und ein Kundenkonto 
(90), auf die die zentrale Einrichtung (60) zugreif en 
kann, und 

ein dem Endgerat (40) zugeordnetes Sicherheits- 
modul (50) dadurch gekennzeichnet, daB die Chip- 
karte (10) derart programmierbar ist, daB sie unter 
Ansprechen auf ein vom Endgerat (40) oder vom 
Sicherheitsmodul (50) erzeugtes Ausldsesignal au- 
tomatisch einen vorbestinmiten, am Endgerat (40) 
eingebbaren Geldbetrag aus dem ersten Speicher 
(20) in den zweiten Speicher (30) umladt und daB 
das Sicherheitsmodul (50) einen kryptographisch 
gesicherten Buchungs-Datensatz erzeugt und zur 
zentralen Einrichtung (60) zu weiteren Verrech- 
nungen ubermittelt 

8. Anlage zur Durchfuhrung des Verfahrens nach 
einem der Anspruche 1 —6, mit folgenden Merkma- 
len: 

wenigstens eine Chipkarte (10), die einen ersten, 
einem ersten Bdrsenbetreiber zugeordneten Spei- 
cher (20) und wenigstens einen zweiten, einem 
zweiten Bdnenbetreiber zugeordneten Speicher 
(30)enthalt, 

wenigstens ein von einem der Bdrsenbetreiber be- 
triebenes Endgerat (40) rait einem Kartenleser, 
eine zentrale Einrichtung (60X mit dem das Endge- 
rat (40) verbunden ist, 

ein dem ersten Bdrsenbetreiber zugeordnetes 
Summenkonto (70^ ein dem zweiten Bdrsenbetrei- 
ber zugeordnetes Konto (80) und ein Kundenkonto 
(90), auf die die zentrale Einrichtung (60) zugreifen 
kann, und 

ein dem Endgerat (40) zugeordnetes Sicherheits- 
modul (50) dadurch gekennzeichnet, daB unter 
Steuerung des Sicherheitsmoduls (50) die Chipkar- 
te (10) einen vorbestimmten, am Endgerat (40) ein- 
gebbaren Geldbetrag aus dem ersten Speicher (20) 
ausliest und anschlieBend in den zweiten Speicher 
(30) umladt und daB das Sicherheitsmodul (50) ei- 
nen kryptographisch gesicherten Buchungs-Daten- 
satz erzeugt und zur zentralen Einrichtung (60) zu 
weiteren Verrechnungen ubermittelt 
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